VPNの脆弱性とは、社外から社内ネットワークへ安全に接続するためのVPN機器やソフトウェア、その設定や運用に潜むセキュリティ上の弱点のことです。近年、企業を狙うランサムウェアの侵入経路として、VPN機器はもっとも多く悪用される入口になっています。便利さゆえに広く普及した一方で、導入したまま運用が手薄になり、気づかないうちに侵入口となっている例が後を絶ちません。この記事では、VPNの脆弱性が具体的に何を指すのか、実際に起きた攻撃事例、優先度をつけた対策、そして自社の危険度を確かめるチェック項目まで説明します。
VPNの脆弱性が問題になるのは、その仕組みが「外部からの接続を常に受け付ける」という性質を持つためです。まず仕組みと弱点の関係を押さえたうえで、実際にどれほど狙われているかをデータで確認します。
VPN（Virtual Private Network）は、インターネット上に仮想的な専用線を作り、社外の端末から社内ネットワークへ安全に接続するための技術です。通信を暗号化して第三者による盗み見を防ぎ、接続してきた相手が正当な利用者かどうかを認証する仕組みを持ちます。
ここで言う「VPNの脆弱性」は、暗号化の方式が破られることを指すわけではありません。悪用されるのは、VPN機器のソフトウェアに存在する欠陥や、アカウント管理・設定の不備です。通信が暗号化されていても、機器側に未修正の脆弱性があれば認証を回避して侵入されることがあります。
VPNの便利さの裏側に弱点があります。
社外からアクセスできるようにするということは、VPN機器がインターネットに向けて常に「入口」を開いている状態を意味します。攻撃者からはその入口が見えており、鍵がかかっているかを一つひとつ確かめるように、日々脆弱性を探る通信が送られています。しかも一度この入口を突破されると、社内ネットワークの広い範囲へ入り込まれやすく、被害が一気に拡大します。
VPNが狙われている実態は、公的なデータにはっきり表れています。警察庁が2026年3月に公表した調査によると、2025年のランサムウェア被害報告件数は226件で、依然として高水準で推移しています。被害組織へのアンケートでは、侵入経路はVPN機器が6割以上を占めました。攻撃者は、未修正の脆弱性、漏えいした認証情報や簡易なパスワード、設定の不備などを悪用してネットワークへ侵入するとされています（※1）。
注目したいのは、警察庁が攻撃手法の変化そのものに言及している点です。近年はインターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部へ侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっている、と明記されています（※1）。つまり「怪しいメールを開かなければ大丈夫」という発想は、現在の攻撃の主流からずれています。
ただし、メール対策が不要になったわけではありません。同じ報告書では、令和7年のフィッシング報告件数が245万4,297件と増加を続けていることも示されています。ランサムウェアの初期侵入という点に限れば、対策の重点がネットワークの境界に置かれた機器へ移っている、と理解するのが正確です。
※1 警察庁│「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）
VPNの脆弱性は、発生する場所によって大きく3つに分かれます。機器そのものの欠陥、設定や認証の不備、そして接続する端末を経由した侵入です。自社のどこに穴が空きやすいかを見極めるために、それぞれがどう生まれ、どう悪用されるのかを確認します。
1つ目は、VPN機器やソフトウェアそのものに存在する欠陥です。VPN機器は多数の部品やプログラムで構成されており、そのどこかに設計上・実装上の弱点が見つかることがあります。発見された弱点はCVEという世界共通の識別番号で管理され、メーカーは修正プログラム（パッチ）を配布します。しかしパッチを適用しないまま放置すると、公開された弱点が攻撃者に悪用されます。攻撃者は公開情報からVPNの製品名やバージョンを調べ、既知の弱点を持つ機器を狙い撃ちにできるためです。
対応の難しさは、修正が公開される前に攻撃が始まるゼロデイ攻撃だけではありません。むしろ現場で問題になりやすいのは、修正パッチがすでに出ているのに適用が追いつかない状態です。VPN機器は常時稼働しているため停止のタイミングを取りにくく、パッチ適用が後回しにされがちです。
さらに深刻なのが、メーカーのサポートが終了した機器（EOL機器）です。EOL機器は新たな弱点が見つかってもパッチが提供されず、使い続けるほど危険が増していきます。古い機器や、障害時のために残した予備機をそのまま運用している場合は、その機器が最も弱い一点になりかねません。世界的にシェアの高い製品ほど攻撃者の研究対象になりやすく、同じ製品を使う組織が一斉に狙われることもあります。
2つ目は、機器の設定や認証の甘さから生じる弱点です。機器自体に欠陥がなくても、設定を誤れば侵入口になります。代表例が、外部から設定作業をするための管理画面をインターネットに公開したままにしている状態です。管理画面に誰でも到達できると、そこが攻撃の起点になります。使っていない機能やポートを開いたままにしている場合も同様に、攻撃者に試される面を増やしてしまいます。
認証の不備はさらに直接的なリスクです。推測されやすいパスワードや初期設定のパスワードは、総当たりで試すブルートフォース攻撃で破られます。加えて、他のサービスで使い回していたパスワードが漏えいすると、その情報を使ってVPNへ不正ログインされます。近年は、偽サイトへ誘導して認証情報を盗むフィッシングや、端末から情報を抜き取るマルウェアによって認証情報が窃取され、VPNへの侵入に転用される手口も増えています。
これらを防ぐ要が、2つ以上の要素で本人確認する多要素認証（MFA）です。ID・パスワードだけに頼っていると、認証情報が漏れた時点で不正ログインを許します。MFAを導入していれば、パスワードが漏れても、もう1つの要素がなければログインを止められます。逆にMFA未導入の状態は、認証面で最も突かれやすい弱点になります。
ただし、MFAは万能ではありません。機器の脆弱性を突いて認証そのものを回避する攻撃は防げず、偽サイトを介して認証を即時に中継するリアルタイム型フィッシングによって二段階認証が突破される手口も確認されています。
3つ目は、VPNに接続する利用者側の端末を経由した侵入です。VPNは正当な利用者の通信を通す仕組みであり、その端末がマルウェアに感染していても、感染そのものを止める機能は持ちません。認証を通過した通信は「正しい利用者」として扱われるため、感染した端末からの通信もそのまま社内へ届いてしまいます。
感染した端末がVPN経由で社内ネットワークにつながると、マルウェアが内部の他のサーバーや端末へ次々と広がります。攻撃者が侵入後に内部を移動しながら被害を広げるこの動きは、横展開（ラテラルムーブメント）と呼ばれます。VPNは一度接続すると社内ネットワークの広い範囲にアクセスできる設定になっていることが多く、この設計が横展開を許しやすくしています。
リスクが特に高まるのが、社員個人の端末を業務に使う環境です。会社が管理する端末と違い、個人の端末はウイルス対策やアップデートの状況がまちまちで、対策の抜け漏れが起きやすくなります。管理の行き届かない端末が1台でも社内ネットワークにつながれば、そこが感染の入口になります。
3種類の脆弱性が組み合わさると、どれほど大きな被害になるのか。公的な調査報告書が公開されている事例から確認します。
なお、被害は特定の業種や規模に限りません。被害企業の約6割は中小企業で、業種別では製造業が約4割を占めます。復旧に総額1,000万円以上を要した組織は全体の5割を超え、1か月未満で復旧できた組織は5割強にとどまります（※1）。
2022年、大阪急性期・総合医療センターが、ランサムウェアによって電子カルテを含む院内システムを使用不能にされました。第三者の調査委員会がまとめた報告書によると、攻撃の起点は病院本体ではなく、給食を提供する取引先事業者に設置されていたVPN機器でした。この機器には既知の脆弱性（CVE-2018-13379）が残っており、そこを突かれて侵入されています（※2）。
被害が院内全体に広がった原因は、脆弱性の放置だけではありません。侵入後に窃取された認証情報が悪用されましたが、サーバーのIDやパスワードが共通化されていたため、1か所を突破されるだけで次々と他のサーバーへ侵入されました。結果として約2,200台の端末を初期化する必要が生じ、感染発生から通常診療の再開までにおよそ2か月半を要しています。
この事例には、多くの被害に共通する3つのパターンが表れています。
3つ目は特に見落とされやすい点です。自社のVPNを厳重に管理していても、保守や納品でネットワークにつながる取引先の機器が古ければ、そこが侵入口になります。VPNの脆弱性対策は、自社の機器だけでなく、外部と接続する経路全体で考える必要があります。
※1 警察庁│「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）
※2 参考：地方独立行政法人大阪府立病院機構 大阪急性期・総合医療センター 情報セキュリティインシデント調査委員会│「調査報告書」
脆弱性の種類と実際の被害を踏まえると、取るべき対策の順序が見えてきます。効果が大きく着手しやすいものから並べます。
警察庁も、基本的なセキュリティ対策の徹底を継続することが最も重要であるとしたうえで、主要な侵入経路であるVPN機器等については速やかな対応が必要である、と名指しで指摘しています（※1）。
最初に取り組むべきは、自社がどのVPN機器をどこで使っているかの把握です。侵入口になりうる機器を洗い出さなければ、対策の対象が定まりません。取引先が保守用に設置した機器や、予備として残したままの古い機器も対象に含めます。
洗い出したうえで、メーカーやJPCERT/CCなどが発信する脆弱性情報を定期的に確認し、該当するパッチを速やかに適用します。サポートが終了したEOL機器は、パッチが出ないため計画的な更新が必要です。VPNが他のセキュリティ製品に統合されている場合、その中のVPN機能を見落としやすいので注意します。
なお、パッチの適用だけでは対応が完了しない場合があります。認証情報を盗み取る種類の脆弱性では、パッチを当てる前にIDとパスワードが窃取されていることがあり、その場合は修正後も正規の認証情報でログインされてしまいます。警察庁の資料でも、侵入時に悪用される要素として漏えいした認証情報が挙げられています。パッチ適用とあわせて、全アカウントのパスワードをリセットし、不審なアカウントが追加されていないかを確認してください。
※1 警察庁│「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（令和8年3月）
次に、認証まわりを固めます。初期パスワードや推測されやすいパスワードを廃し、多要素認証を導入することで、認証情報が漏れても不正ログインを防ぎやすくなります。
あわせて、利用者ごとに必要最小限の権限だけを与える設定にします。全員が管理者権限を持つような状態を避け、IDやパスワードの使い回しをやめることで、万一侵入されても被害の横展開を抑えられます。前述の医療機関の事例は、この認証管理の欠如が被害を広げた典型です。
より根本的な見直しとして、VPNに依存しない接続方式への移行があります。すべての通信を無条件に信頼せず、その都度検証するゼロトラストという考え方や、ネットワークとセキュリティの機能をクラウドで統合するSASEがその代表です。
米国のCISA（サイバーセキュリティ・インフラストラクチャ・セキュリティ庁）などは2024年6月、従来型VPNの持つリスクを指摘し、ゼロトラストやSASE、SSEといった方式への移行を検討するよう促す文書を公表しています（※）。ただし、移行には自社の利用状況や既存製品との兼ね合いの見極めが欠かせず、導入すれば安全になるという性質のものではありません。まずは前述の棚卸しと認証強化を確実に行ったうえで、中長期の検討対象と位置づけるのが現実的です。
※ 参考：CISA│「Modern Approaches to Network Access Security」
対策の全体像がつかめたら、自社の現状がどの段階にあるかを確認します。次の項目のうち、あてはまる数が多いほど危険度が高い状態です。それぞれ、なぜ危険なのかを併せて示します。
| 確認項目 | 危険な状態 | なぜ危険か |
|---|---|---|
| パッチ適用 | 最新の修正プログラムを適用していない、または適用状況を把握していない | 公開済みの弱点は攻撃者に知られており、放置した機器が狙い撃ちされる |
| 機器の世代 | サポート終了（EOL）の機器を使っている | 新たな弱点にパッチが出ず、使うほど侵入されるリスクが上がり続ける |
| 管理画面 | 管理画面がインターネットからアクセスできる | 攻撃者が設定変更や侵入の起点として直接狙える面をさらしている |
| パスワード | 初期設定のまま、または推測されやすいパスワードを使っている | 総当たり攻撃で短時間に突破され、正規の入口から侵入される |
| 多要素認証 | 多要素認証を導入していない | パスワードが漏れた時点で、それ以上の防御なく不正ログインを許す |
| 権限設定 | 利用者に必要以上の権限を与えている | 1か所を突破されただけで内部の広範囲へ被害が一気に広がる |
| 取引先の機器 | 保守などで接続する取引先のVPN機器の管理状況を把握していない | 自社を固めても、管理外の古い機器が侵入口になり被害が及ぶ |
| ログ確認 | VPNへのアクセスログを監視していない | 不審なアクセスに気づけず、侵入の発見と対応が大きく遅れる |
| 事業継続計画 | サイバー攻撃を想定したBCPを策定していない | 侵入後の判断が場当たりになり、復旧が長期化して事業への影響が拡大する |
目安として、複数の項目があてはまる場合は、侵入されるリスクが具体的に高まっている状態と考えられます。あてはまる項目が少なくても、定期的な再確認は欠かせません。
なお、「パッチを当てたいが機器を止められない」という事情で対応が遅れる例は少なくありません。その場合は、稼働への影響が小さい時間帯での計画的な適用や、予備機を用意したうえでの切り替えを検討します。予備機を使うときは、予備機自体のパッチが古くないかを必ず確認します。古い予備機に切り替えたことで、そこから侵入された事例も報告されています。
セルフチェックは自社の大まかな状態をつかむのに役立ちますが、それだけで安全と判断するのは危険です。設定の細かな妥当性や認証まわりの穴、実際に攻撃が通ってしまうかどうかは、チェックリストの確認だけでは見抜けない部分が多く残ります。
自動で脆弱性を調べるツールにも一定の役割はあります。既知の弱点を機械的に洗い出す用途では有効です。ただし、自動ツールは設定の文脈や複数の弱点を組み合わせた攻撃経路までは検出しきれず、検出範囲に限界があります。誤検知や見落としも起こりえます。
そこで有効なのが、セキュリティの専門家が実際の攻撃者の視点で行う手動の脆弱性診断やペネトレーションテストです。ペネトレーションテストとは、専門家が実際に侵入を試みて、どこまで到達できるかを検証する手法を指します。人の判断で設定の穴や認証の弱点を突き、被害につながる経路を具体的に確かめられるため、自動ツールでは見えない実態を把握できます。VPNの安全性を確実に確認したい場合は、自己診断で終わらせず、こうした専門家による診断を受けるのが安全かつ確実です。
ただし、診断は実施した時点の状態を確認するものです。診断後に新たな脆弱性が公表されれば、その機器は再び危険な状態に戻ります。診断は、前述のパッチ管理や認証強化を置き換えるものではなく、自社では確認しきれない部分を補うために使うものと考えてください。
VPNの脆弱性は、機器やソフトウェアの欠陥、設定や認証の不備、感染端末からの侵入という3つに大きく分かれます。警察庁のデータが示すとおり、VPNは現在の攻撃で最も狙われている侵入口であり、放置と認証の使い回しが被害を大きくする共通の要因です。
対策の順序ははっきりしています。最優先は機器の棚卸しとパッチ・EOL管理、次に多要素認証と権限の最小化、そして中長期にゼロトラストやSASEを検討することです。まず今日取り組めるのは、自社と取引先が使っているVPN機器を洗い出し、それぞれのパッチ適用状況を確認することです。そのうえで、確実性を高めたい場合は専門家による診断を検討してください。